Wie das Internet funktioniert: Datenpakete, IP und DNS

Das Internet verbindet unabhängig betriebene Netzwerke durch gemeinsame Protokolle, insbesondere das Internet Protocol (IP). Keine einzelne Organisation betreibt das gesamte System.

Geräte und Übertragungsstrecken

Ein Host oder Endsystem führt Anwendungen aus. Smartphones, Laptops, Server, Smart-TVs und Sensoren können Hosts sein. Ein Client fordert einen Dienst an; ein Server stellt ihn bereit. Ein Computer kann eine Datei anfordern und gleichzeitig jemand anderem eine andere Datei bereitstellen.

Übertragungsstrecken übertragen Bits durch Kupferkabel als elektrische Signale, durch Glasfasern als Licht oder über drahtlose Verbindungen als Funkwellen. Ein Weg kann über mehrere Medien führen.

Ein Heimrouter kombiniert gewöhnlich Routing, Switching und einen WLAN-Zugangspunkt, manchmal auch ein Modem. Dies bleiben unterschiedliche Aufgaben, selbst wenn ein Gerät sie alle übernimmt.

Verbindung zu einem Anbieter

Ein Zugangsnetz verbindet einen Haushalt, eine Organisation oder ein Smartphone mit seinem Anbieter. Beispiele sind Glasfaser, Kabel, DSL, Ethernet im Büro und Mobilfunknetze. Ein Internetdienstanbieter (ISP) überträgt Datenverkehr zwischen Zugangsnetzen und anderen Netzwerken.

Anbieter tauschen Datenverkehr an einem Internetknoten (IXP) direkt aus. Das ist eine gemeinsam genutzte Einrichtung, die sich über mehrere Gebäude erstrecken kann. Sie können auch Transit kaufen und einen anderen Anbieter für die Weiterleitung des Datenverkehrs bezahlen. Große Inhaltsanbieter betreiben eigene Netzwerke und Rechenzentren, um Dienste näher an die Nutzer zu bringen.

Die meisten Daten zwischen Kontinenten werden über Glasfaser-Seekabel auf dem Meeresboden übertragen; Satelliten übernehmen einen kleineren Anteil. Eine drahtlose Zugangsstrecke kann daher in einen langen, hauptsächlich kabelgebundenen Weg münden.

Verfolge einen Videoanruf

Von einem Smartphone in einem Café wird jemand in Übersee angerufen, dessen Smartphone ein Mobilfunknetz nutzt:

1. WLAN überträgt Pakete zum Zugangspunkt des Cafés.
2. Der Router des Cafés sendet sie über den Zugangsanschluss an den Internetdienstanbieter.
3. Anbieternetzwerke leiten sie weiter und tauschen sie vielleicht an einem IXP aus.
4. Ein Seekabel kann sie über den Ozean übertragen.
5. Der Anbieter am Ziel stellt sie über sein Mobilfunknetz dem anderen Smartphone zu.

Verschiedene Organisationen betreiben diese Abschnitte. Kompatible Protokolle ermöglichen die Weitergabe der Pakete, während jeder Betreiber seinen eigenen Teil verwaltet. Der genaue Weg kann sich ändern, wenn Netzwerke ihre Verbindungen ändern oder auf Ausfälle reagieren.

Große Dateien werden als viele Pakete übertragen. Jedes Paket enthält einen Teil der Daten, sodass andere Gespräche abwechselnd dieselben Übertragungsstrecken nutzen können.

Protokollkopf und Nutzdaten unterscheiden

Der Protokollkopf eines Pakets enthält Steuerinformationen; seine Nutzdaten enthalten Daten. Ein IP-Protokollkopf enthält Quell- und Zieladresse. Router nutzen das Ziel, um die nächste Übertragungsstrecke auszuwählen, ohne das enthaltene Foto oder die Nachricht zu interpretieren. Die empfangende Anwendung interpretiert die zugestellten Bits.

Der Protokollkopf ähnelt der Adresse auf einem Briefumschlag, die Nutzdaten dessen Inhalt. Die Aufteilung einer Datei in kleine Pakete begrenzt auch, wie viel nach einem Verlust erneut gesendet werden muss. Eine häufige Größenbegrenzung auf einem Übertragungsweg ist ein IP-Paket mit 1.500 Bytes, abgeleitet vom Standard-Ethernet. Manche Wege unterstützen größere Pakete.

Pakete und Overhead zählen

Ein Foto enthält 3.000.000 Bytes. Jedes Paket fasst bis zu 1.460 Bytes Fotodaten plus 40 Bytes für Protokollköpfe. Dividiere durch die Nutzdatenkapazität:

Runde auf 2.055 Pakete auf, weil auch ein Rest zugestellt werden muss. Nach 2.054 vollen Nutzdatenteilen enthält der letzte:

Jedes Paket benötigt Protokollköpfe, auch das letzte:

Daten und Protokollköpfe umfassen zusammen 3.082.200 Bytes. Die Protokollköpfe erhöhen die Größe des Fotos um etwa 2,7 %. Eine Division durch 1.500 würde zu wenige Pakete ergeben, weil 40 Bytes jedes Pakets nicht für Fotodaten verfügbar sind. Würde man den letzten Nutzdatenteil als voll zählen, würde man dagegen Daten hinzuerfinden, die das Foto nicht enthält.

Die Reihenfolge der Bytes wiederherstellen

Pakete folgen gewöhnlich demselben Weg, aber IP lässt unterschiedliche Wege zu. Pakete können in anderer Reihenfolge oder doppelt ankommen oder verloren gehen, auch wenn der Puffer eines Routers voll wird.

Das Transmission Control Protocol (TCP) gleicht diese Folgen auf den Endsystemen aus. Es nummeriert Bytes, sodass der Empfänger Positionen und Lücken erkennen kann. Der Sender überträgt fehlende Daten erneut, und der Empfänger liefert Bytes in der richtigen Reihenfolge. Der Empfang des letzten Teils schließt keine frühere Lücke.

IP überträgt nur einzelne Pakete; es setzt die Nachricht nicht wieder zusammen und übernimmt diesen Ausgleich nicht. Auch das User Datagram Protocol (UDP) verzichtet auf erneute Übertragung und Wiederherstellung der Reihenfolge. Anwendungen, die UDP nutzen, ergänzen bei Bedarf selbst den nötigen Ausgleich.

Die Kapazität einer Übertragungsstrecke kann für eine Verbindung reserviert oder von ankommenden Paketen gemeinsam genutzt werden. Der Unterschied ist wichtig, wenn der Datenverkehr pausiert und wenn mehrere Nutzer gleichzeitig senden.

Reservieren oder teilen

Leitungsvermittlung reserviert einen festen Anteil entlang des gesamten Weges. Bei herkömmlichen Festnetzanrufen blieb dieser Anteil auch während Gesprächspausen reserviert.

Paketvermittlung teilt die Kapazität nach Bedarf; das heißt statistisches Multiplexen. Jedes Paket nutzt die Datenrate der Übertragungsstrecke, während es an der Reihe ist. Das eignet sich für schubweisen Datenverkehr: Beim Surfen im Web und beim Austausch von Nachrichten werden kurze Datenschübe mit Pausen dazwischen gesendet.

Pakete bei belegter Übertragungsstrecke speichern

Ein Router nutzt Store-and-Forward: Er empfängt ein vollständiges Paket, bevor er es weitersendet. Pakete warten in einer Warteschlange, wenn die ausgehende Übertragungsstrecke belegt ist. Ein Puffer im Speicher hält diese Warteschlange; ist er voll, kann er keine neu ankommenden Pakete aufnehmen, und sie werden verworfen.

Eine Übertragungsstrecke mit 1 Mbit/s kann zehn Anteile zu je 100 kbit/s reservieren:

Bei gemeinsamer Paketvermittlung können 35 Nutzer die Strecke teilen, wenn jeder nur zu 10 % der Zeit aktiv ist. Sind die Nutzer unabhängig voneinander aktiv, beträgt die Wahrscheinlichkeit, dass mehr als zehn gleichzeitig aktiv sind, etwa 0,0004. Die Unabhängigkeit ist wichtig: Gleichzeitige Datenschübe verhalten sich anders. Kurze Warteschlangen können auch bei weniger als zehn aktiven Nutzern entstehen, wenn Pakete gleichzeitig ankommen.

Die Anfänge der Paketvermittlung

Paul Baran bei RAND und Donald Davies am National Physical Laboratory im Vereinigten Königreich entwickelten in den 1960er-Jahren unabhängig voneinander Ideen zur Paketvermittlung. Davies prägte den englischen Begriff „packet“; Leonard Kleinrock entwickelte frühe mathematische Arbeiten zu Warteschlangen in Netzwerken.

Am 29. Oktober 1969 sendete das ARPANET seine erste Nachricht von der UCLA an das Stanford Research Institute. Nach „LO“ von „LOGIN“ stürzte es ab. Das ARPANET sollte die gemeinsame Nutzung von Forschungscomputern ermöglichen. Barans unabhängige Arbeit untersuchte widerstandsfähige Kommunikation bei Angriffen und hilft, die spätere Geschichte vom Atomkrieg zu erklären.

Paketvermittelte Netzwerke können nach Ausfällen alternative Wege nutzen, wenn ein anderer Weg verfügbar ist. Heute überträgt Internettelefonie Anrufe in Paketen, auch Anrufe in 4G- und 5G-Netzen.

Die Geschwindigkeit einer Verbindung hat mehr als eine Bedeutung. Eine große Übertragung braucht eine hohe Zustellrate; ein Gespräch braucht kurze, gleichbleibende Verzögerungen. Wenn du Bandbreite, Datendurchsatz und Latenz unterscheidest, kannst du beides erklären.

Kapazität und tatsächliche Zustellung

Die Bandbreite ist die Kapazität einer Übertragungsstrecke in Bits pro Sekunde. SI-Präfixe verwenden Zehnerpotenzen: 1 kbit/s sind 1.000 bit/s; 1 Mbit/s sind 1.000.000 bit/s; 1 Gbit/s sind 1.000.000.000 bit/s. „Mbps“ ist eine weitere gebräuchliche Schreibweise für Mbit/s.

Der Datendurchsatz ist die tatsächlich erreichte Zustellrate. Die langsamste Übertragungsstrecke auf einem Weg ist sein Engpass. Eine Serververbindung mit 1 Gbit/s und eine Anbieterverbindung mit 10 Gbit/s können einen Download über einen Hausanschluss mit 50 Mbit/s nicht schneller als mit 50 Mbit/s übertragen. Gemeinsam genutzte Kapazität und Protokoll-Overhead verringern die nutzbare Rate weiter.

Dateigrößen werden in Bytes angegeben, geschrieben mit großem B; ein Byte enthält 8 Bits. Eine Datei mit 500 MB enthält 4.000 Mbit. Bei 100 Mbit/s beträgt ihre ideale Übertragungszeit:

Die Antwort 5 Sekunden entsteht, wenn man Bytes durch eine Rate in Bits dividiert, ohne die Einheiten umzurechnen.

Vier Bestandteile der Verzögerung

Latenz ist die Laufzeit von einem Ende zum anderen. Die Paketumlaufzeit (RTT) umfasst Hin- und Rückweg. Eine Ping-Messung gibt einen Hin- und Rückweg an, gewöhnlich in Millisekunden.

Unterscheide an jeder Station vier Verzögerungen:

• Verarbeitung: Einen Protokollkopf lesen und entscheiden, wohin das Paket gesendet wird.
• Warteschlange: Auf eine ausgehende Übertragungsstrecke warten.
• Übertragung: Alle Bits des Pakets auf diese Strecke senden.
• Ausbreitung: Das Signal legt den Weg entlang der Strecke zurück.

Die Übertragungsverzögerung hängt von Paketgröße und Datenrate ab:

Ein Paket mit 1.500 Bytes hat 12.000 Bits. Seine Übertragung dauert bei 100 Mbit/s 0,12 ms oder bei 10 Mbit/s 1,2 ms. Über drei Strecken mit je 10 Mbit/s sind für dieses Paket wegen Store-and-Forward mindestens 3,6 ms Übertragungszeit nötig, bevor die anderen Verzögerungen hinzukommen.

Die Ausbreitungsverzögerung hängt von Entfernung und Signalgeschwindigkeit ab:

In Glasfaser bewegt sich das Signal mit etwa 200.000 km/s. Für 6.000 km braucht es 30 ms für einen Weg und mindestens 60 ms für Hin- und Rückweg. Eine höhere Bandbreite kann das Kabel nicht verkürzen.

Das passende Maß für die Anwendung

Ein Download profitiert hauptsächlich vom Datendurchsatz. Anrufe und schnelle Spiele brauchen niedrige Latenz und niedrigen Jitter, die Schwankung der Verzögerung. Zu stark genutzten Zeiten können Warteschlangen wachsen, selbst wenn die beworbene Kapazität einer Strecke gleich bleibt.

Eine Webseite kann mehrere Datenaustausche benötigen, bevor sie vollständig ist. Der Browser kann viele Dateien gleichzeitig anfordern, aber manche Anfragen hängen von früheren Antworten ab. Für diese Abhängigkeiten ist die RTT wichtig; auch die Arbeit des Servers, der verfügbare Datendurchsatz und die Verarbeitung im Browser spielen eine Rolle. Ein schneller Download großer Datenmengen und eine interaktive Seite, die sich langsam anfühlt, können daher bei derselben Verbindung auftreten.

Eine IP-Adresse identifiziert eine Netzwerkschnittstelle: den Anschluss eines Geräts an ein IP-Netzwerk. Ein Laptop kann in verschiedenen Netzwerken unterschiedliche Adressen haben. Die Adresse teilt dem Netzwerk mit, wohin Pakete zugestellt werden sollen, nicht wer eine Person ist.

IPv4 und IPv6 lesen

IPv4 verwendet 32 Bits, geschrieben als vier durch Punkte getrennte Dezimalzahlen. Jede Zahl stellt 8 Bits dar und reicht von 0 bis 255. Beispielsweise lautet 192.168.1.10 binär 11000000.10101000.00000001.00001010. Eine letzte Zahl von 256 würde mehr als 8 Bits benötigen und ist ungültig.

Es gibt 4.294.967.296 mögliche 32-Bit-Werte, etwa 4,3 Milliarden. Der zentrale Vorrat nicht zugewiesener IPv4-Adressen war am 3. Februar 2011 erschöpft. Vorhandene Adressen funktionieren weiterhin; die Erschöpfung bedeutet, dass der ursprüngliche zentrale Vorrat neuer Blöcke aufgebraucht war.

IPv6 verwendet 128 Bits und ermöglicht damit etwa 3,4 × 10³⁸ Werte. Eine Adresse hat acht Gruppen aus vier Hexadezimalziffern. Führende Nullen innerhalb einer Gruppe dürfen entfallen, und eine Folge von Gruppen, die nur aus Nullen bestehen, darf durch :: ersetzt werden.

2001:0db8:0000:0000:0000:ff00:0042:8329 wird zu 2001:db8::ff00:42:8329. Zähle fünf sichtbare Gruppen: Der doppelte Doppelpunkt ersetzt drei Gruppen, sodass wieder acht entstehen. Verwende :: nur einmal, damit die Ergänzung eindeutig bleibt. Viele Hosts betreiben IPv4 und IPv6 nebeneinander.

Ein Präfix verstehen

In 203.0.113.0/24 besagt der Schrägstrich, dass die ersten 24 Bits das Netzwerkpräfix bilden. Acht Bits bleiben übrig:

Der Block reicht von 203.0.113.0 bis 203.0.113.255. Ein gewöhnliches IPv4-Netzwerk dieser Größe reserviert den ersten und letzten Wert, sodass 254 Geräteadressen bleiben. Die Zahl nach dem Schrägstrich ist die Anzahl der Netzwerkbits, keine Gerätenummer.

Adressen privat wiederverwenden

Drei IPv4-Bereiche sind für private Netzwerke reserviert:

• 10.0.0.0/8
• 172.16.0.0/12, von 172.16.0.0 bis 172.31.255.255
• 192.168.0.0/16

Diese Bereiche werden in getrennten Haushalten und Organisationen wiederverwendet und im öffentlichen Internet nicht geroutet. Beispielsweise ist 172.20.5.4 privat, während 172.32.0.1 außerhalb des privaten 172er-Bereichs liegt.

Netzwerkadressübersetzung (NAT) ermöglicht es privaten Geräten, eine öffentliche IPv4-Adresse zu teilen. Der Router schreibt ausgehende Quelladressen und Ports um und erfasst die Übersetzungen. Anhand der Tabelle sendet er Antworten an das richtige private Gerät. Eine neue Verbindung von außen benötigt einen Weg durch diese Zuordnung; die private Adresse allein kann sie nicht dorthin leiten.

Automatisch einem Netzwerk beitreten

Das Dynamic Host Configuration Protocol (DHCP) stellt eine für einen Zeitraum zugewiesene Adresse, ein Standardgateway und einen DNS-Resolver bereit. Das Standardgateway ist der Router, über den andere Netzwerke erreicht werden. Die zeitlich begrenzten Zuweisungen und die vom Anbieter vergebenen Adressen können sich ändern, und viele Geräte können über NAT eine öffentliche Adresse teilen.

Eine Hardware-MAC-Adresse dient einem anderen Zweck: Übliche Ethernet- und WLAN-MAC-Adressen sind 48-Bit-Kennungen für die Zustellung über eine lokale Übertragungsstrecke. IP-Adressen ermöglichen die Zustellung über Netzwerkgrenzen hinweg. Eine IP-Adresse kann einen ungefähren Standort nahelegen, doch gemeinsam genutzte und wechselnde Zuweisungen machen sie zu einer wenig geeigneten Kennung für eine einzelne Person.

Ein Paket bewegt sich von Station zu Station auf sein Ziel zu. Jeder Router entscheidet selbst über die nächste Übertragungsstrecke. Der Absender gibt für ein gewöhnliches IP-Paket keinen vollständigen Reiseplan vor.

Eine Weiterleitungstabelle lesen

Eine Weiterleitungstabelle ordnet Zielpräfixen ausgehende Übertragungsstrecken zu. Betrachte diese Einträge:

Ein Paket an 203.0.113.57 passt zum Eintrag /24 und verlässt den Router über Strecke 2. Ein Paket an 198.51.100.7 nutzt Strecke 1. Der Eintrag /0 ist die Standardroute, die verwendet wird, wenn kein spezifischerer Eintrag passt.

Passen mehrere Einträge, wähle die längste Präfixübereinstimmung, also den Eintrag mit den meisten festgelegten Netzwerkbits. Es geht um die Genauigkeit des Präfixes, nicht um die größte ausgeschriebene Adresse oder die kürzeste räumliche Entfernung. Jeder nächste Router wiederholt die Suche anhand seiner eigenen Tabelle.

Ein Host beginnt einen Weg in ein anderes Netzwerk, indem er sein Paket an das Standardgateway sendet. Zu Hause ist das normalerweise der Heimrouter. Die Ziel-IP-Adresse des Pakets bezeichnet weiterhin das entfernte Endsystem; das lokale Gateway ist nur seine erste Station.

Weiterleitung und Routing haben unterschiedliche Aufgaben

Weiterleitung ist der lokale Vorgang, bei dem ein Paket an eine ausgehende Übertragungsstrecke übergeben wird. Routing findet Wege und erstellt die Tabellen für die Weiterleitung. Routing-Protokolle tauschen Informationen über die Erreichbarkeit aus und reagieren, wenn Übertragungsstrecken hinzukommen oder ausfallen. Es kann dauern, bis sich eine Änderung verbreitet hat. Ein nutzbarer alternativer Weg bedeutet daher nicht, dass ein Ausfall sofort und verlustfrei behoben wird.

Ein autonomes System (AS) ist ein Netzwerk oder ein Verbund von Netzwerken, der nach der Routing-Richtlinie einer Organisation betrieben und durch eine AS-Nummer identifiziert wird. Anbieter, Hochschulen und Inhaltsanbieter können AS betreiben. Innerhalb eines AS wählt der Betreiber seine Routing-Verfahren. Zwischen AS tauscht das Border Gateway Protocol (BGP) Routen aus.

BGP-Entscheidungen berücksichtigen neben Informationen über den Weg auch Geschäftsvereinbarungen und Routing-Richtlinien. Daher wird nicht garantiert die Route mit der kürzeren Entfernung in Kilometern gewählt.

Schleifen stoppen und Stationen untersuchen

Das IPv4-Feld Time to Live (TTL) begrenzt die Anzahl der Stationen. Jeder Router verringert den Wert um eins. Erreicht er null, verwirft der Router das Paket und sendet gewöhnlich einen Fehler zurück. Das verhindert, dass ein Paket durch eine Routing-Schleife endlos kreist.

Startet ein Paket mit TTL 64 und kommt mit TTL 52 an, haben zwölf Router den Wert verringert:

Traceroute, unter Windows tracert genannt, sendet Testpakete mit steigender Höchstzahl an Stationen. Fehlermeldungen aufeinanderfolgender Router zeigen die antwortenden Stationen und ihre Paketumlaufzeiten. Ein Sprung von 15 ms auf 90 ms kann auf eine lange Übertragungsstrecke hinweisen, doch allein anhand der Zeiten lässt sich kein Seekabel identifizieren. Manche Router antworten nicht auf Testpakete.

IP folgt bei all diesen Schritten weiterhin dem Best-Effort-Prinzip. Seine Router versuchen, Pakete zuzustellen, ohne Ankunft, Reihenfolge oder einmalige Zustellung zu garantieren. Endsysteme nutzen Transportprotokolle wie TCP, wenn eine Anwendung einen vollständigen, geordneten Datenstrom benötigt.

Menschen geben Namen wie www.example.com ein; Router benötigen IP-Adressen. Das Domain Name System (DNS) liefert die Zuordnung und andere Einträge. Ein Dienst kann seinen Namen behalten, während sich seine Adresse ändert.

Die Namenshierarchie verfolgen

Lies einen Domainnamen von rechts nach links. Ein nicht geschriebener Punkt am Ende steht für die Wurzel. Darauf folgt eine Top-Level-Domain (TLD) wie com, org, jp oder br, dann eine Second-Level-Domain wie example und anschließend optionale Subdomains wie www oder mail.

Kein einzelner Server speichert alle Domaineinträge. Rootserver verweisen Resolver an TLD-Server. TLD-Server verweisen sie an die autoritativen Nameserver einer Domain, die deren Einträge enthalten. Der Wurzeldienst hat 13 benannte Identitäten, die von 12 Organisationen betrieben werden; im Oktober 2026 wurden diese Identitäten über mehr als 2.000 Kopien weltweit bereitgestellt. Dreizehn Namen bedeuten also nicht dreizehn physische Rechner.

Einen nicht zwischengespeicherten Namen auflösen

Ein Laptop fragt seinen rekursiven Resolver nach www.example.com. Der Resolver kann zu einem Internetdienstanbieter, einer Organisation oder einem öffentlichen DNS-Dienst gehören. Ohne brauchbare zwischengespeicherte Informationen arbeitet er sich durch die Hierarchie:

1. Einen Rootserver fragen, der ihn an die com-Server verweist.
2. Einen com-Server fragen, der ihn an die autoritativen Nameserver von example.com verweist.
3. Einen autoritativen Nameserver fragen, der eine Adresse wie 192.0.2.10 zurückgibt.
4. Diese Antwort an den Laptop zurückgeben.

Der Laptop kann sich nun mit dem Webserver verbinden. Die DNS-Antwort enthält nicht die Webseite.

Antworten begrenzt zwischenspeichern

Resolver und Geräte speichern Antworten in einem Cache. Die Gültigkeitsdauer (TTL) eines Eintrags legt fest, wie lange eine zwischengespeicherte Antwort wiederverwendet werden darf. Eine TTL von 3.600 Sekunden erlaubt eine Stunde Wiederverwendung. Die meisten Abfragen müssen daher nicht erneut die Hierarchie durchlaufen.

Ändert sich ein Adresseintrag, kann ein vorhandener Cache seine alte Antwort weiterhin liefern, bis der Eintrag abläuft. Diese verzögerte Sichtbarkeit wird oft „DNS-Propagation“ genannt. Das bedeutet nicht, dass der autoritative Nameserver die Änderung langsam an jeden Computer sendet. Die DNS-TTL ist eine Zeitdauer in Sekunden; die IP-TTL begrenzt die Anzahl der Stationen.

Den Eintragstyp wählen

Ein Name kann mehrere Adressen zurückgeben, und mehrere Namen können eine Adresse teilen. Eine MX-Abfrage findet Mailserver, nicht das persönliche Gerät des Empfängers.

Klassisches DNS verwendet für kurzen Austausch häufig UDP-Port 53 und unterstützt auch TCP, unter anderem für größere Antworten. Klassische Abfragen sind unverschlüsselt. DNS over HTTPS schützt die Abfrage auf dem Weg zum Resolver; der Resolver verarbeitet sie weiterhin. DNSSEC prüft die Authentizität signierter DNS-Daten. Authentizität und Vertraulichkeit lösen unterschiedliche Probleme: Eine signierte Antwort kann auf dem Weg trotzdem lesbar sein.

Ein Protokoll legt Nachrichtenformate, die Reihenfolge der Nachrichten und das Verhalten der Beteiligten beim Senden oder Empfangen fest. Das Internet verteilt diese Aufgaben auf Schichten, sodass eine Anwendung über viele Netzwerkarten funktionieren kann.

Jeder Schicht eine Aufgabe geben

Die Beschreibung mit fünf Schichten trennt die Anforderungen der Anwendungen von den physischen Signalen, die Bits übertragen.

Das Hypertext Transfer Protocol (HTTP) legt Webanfragen und -antworten fest. Es kann TCP nutzen, ohne wissen zu müssen, ob die nächste Übertragungsstrecke WLAN oder Glasfaser ist. Wird diese Strecke ersetzt, kann die Webanwendung unverändert bleiben. Die vierschichtige TCP/IP-Beschreibung fasst Sicherungs- und Bitübertragungsschicht zusammen. Das OSI-Referenzmodell verwendet sieben Schichten; es ist eine weitere Art, Netzwerkaufgaben zu beschreiben.

Daten für die Zustellung verpacken

Die Kapselung fügt Informationen hinzu, während Daten den Protokollstapel nach unten durchlaufen. TCP behandelt die Bytes einer Anwendung als Datenstrom und teilt sie in Segmente mit jeweils einem TCP-Protokollkopf. IP verpackt ein Segment in ein IP-Paket. Ethernet oder WLAN verpackt das Paket für eine Übertragungsstrecke in einen Datenrahmen. Ethernet fügt außerdem einen Anhang zur Fehlerprüfung hinzu.

Am Ziel macht die Entkapselung die Verpackung rückgängig. Jede Schicht liest ihre eigenen Informationen und gibt den verbleibenden Inhalt nach oben weiter. Eine höhere Schicht kommuniziert über die Dienste der niedrigeren Schichten mit ihrem Gegenstück; die Schichten sind keine Reihe getrennter Rechner zwischen Sender und Empfänger.

Eine HTTP-Nachricht kann sich über mehrere TCP-Segmente erstrecken, und ein Segment kann Bytes aus mehr als einer Nachricht enthalten. Die Grenzen bei TCP ergeben sich aus der Übertragung eines Bytestroms, nicht aus den Nachrichtengrenzen der Anwendung.

Die hinzugefügten Bytes zählen

Angenommen, ein Segment enthält 1.460 Bytes Webdaten. Ein TCP-Protokollkopf mit 20 Bytes und ein IPv4-Protokollkopf mit 20 Bytes ergeben:

Ethernet fügt einen Protokollkopf mit 14 Bytes und einen Anhang mit 4 Bytes hinzu, sodass ein Datenrahmen mit 1.518 Bytes entsteht. Seine 58 Bytes für Protokollköpfe und Anhang machen etwa 3,8 % des Datenrahmens aus. Diese Zahlen gelten für die genannten Protokollköpfe; optionale Felder können TCP- und IP-Protokollköpfe verlängern.

Was ändert sich an einem Router?

Ein Host führt den gesamten Protokollstapel aus. Ein Router übernimmt normalerweise Funktionen der Bitübertragungs-, Sicherungs- und Netzwerkschicht. Er entfernt den eingehenden Datenrahmen, liest das IP-Ziel, wählt eine ausgehende Übertragungsstrecke und erstellt dafür einen neuen Datenrahmen. Ein lokaler Switch arbeitet normalerweise auf der Sicherungsschicht.

Datenrahmen ändern sich an jeder Station. Die IP-Adressen der Endsysteme bleiben auf einem gewöhnlichen Weg gleich, außer wo NAT sie umschreibt; andere IP-Felder, darunter die Höchstzahl an Stationen, können sich ändern. Die TCP-Verarbeitung findet an den Endpunkten statt.

Viele Anwendungen darüber und viele Übertragungstechnologien darunter nutzen IP gemeinsam. Das ist die schmale Mitte des Internets: Eine neue Anwendung muss das Kernnetz nicht neu entwerfen. Die Internet Engineering Task Force (IETF) veröffentlicht offene Protokolldokumente namens Requests for Comments (RFCs). Die TCP-Spezifikation ist RFC 9293, veröffentlicht 2022.

Eine Datei benötigt alle ihre Bytes in der richtigen Reihenfolge, selbst wenn das Netzwerk Pakete verwirft oder umordnet. Das Transmission Control Protocol (TCP) stellt diesen geordneten Bytestrom durch Zusammenarbeit der beiden Endsysteme bereit.

Programme identifizieren und eine Verbindung öffnen

Eine IP-Adresse identifiziert eine Netzwerkschnittstelle. Ein Port identifiziert einen Dienst oder Kommunikationsendpunkt auf diesem Host. Ports sind 16-Bit-Zahlen von 0 bis 65535. HTTP verwendet häufig Port 80, HTTPS 443 und DNS 53. Ein Client wählt normalerweise einen temporären Quellport.

Eine TCP-Verbindung wird durch beide IP-Adressen und beide Ports unterschieden. Beispielsweise kann sich 198.51.100.23:51514 mit 203.0.113.80:443 verbinden, während eine andere Verbindung einen anderen Clientport verwendet. So kann ein Laptop viele Gespräche gleichzeitig führen.

TCP beginnt mit einem Drei-Wege-Handshake:

1. Der Client sendet SYN und beginnt damit seine Sequenznummerierung.
2. Der Server gibt SYN-ACK zurück, bestätigt damit diesen Anfang und teilt seinen eigenen mit.
3. Der Client sendet ACK.

Der gewöhnliche Aufbau benötigt etwa eine RTT, bevor Daten übertragen werden können. Später kann jeder Endpunkt seine Senderichtung mit FIN schließen.

Bytes nummerieren und eine Lücke finden

TCP-Sequenznummern zählen Bytes, keine Pakete. Beginne für ein leicht lesbares Beispiel die Nummerierung bei 1; tatsächliche Verbindungen beginnen mit gewählten Anfangssequenznummern.

Kommen alle drei an, bedeutet die Empfangsbestätigung 3.001, dass alle Bytes bis einschließlich 3.000 angekommen sind und 3.001 das nächste ist.

Fehlt das zweite Segment, bestätigt der Empfänger weiterhin 1.001, selbst nachdem das dritte angekommen ist. Er kann die späteren Bytes aufbewahren, aber noch nicht als zusammenhängenden Datenstrom ausliefern. Eine Zeitüberschreitung oder wiederholte doppelte Empfangsbestätigungen veranlassen den Sender, fehlende Bytes erneut zu übertragen. Sobald die Lücke geschlossen ist, kann der Empfänger seine Empfangsbestätigung erhöhen und die Daten in der richtigen Reihenfolge ausliefern.

Eine Prüfsumme erkennt die meisten beschädigten Segmente. Beschädigte Daten werden verworfen und wie fehlende Daten durch erneute Übertragung wiederhergestellt.

Empfänger und Netzwerk schützen

Zwei Kontrollverfahren begrenzen, wie viele Daten eines Senders noch unbestätigt sind:

Das Empfangsfenster verhindert, dass ein schneller Sender einen langsamen Empfänger überfordert. Die Überlastkontrolle reagiert auf einen ausgelasteten Übertragungsweg, unter anderem auf Verluste und wachsende Verzögerungen, und erlaubt bei besseren Bedingungen wieder ein allmähliches Wachstum. Auch ein schneller Empfänger kann über ein überlastetes Netzwerk erreicht werden.

Den Aufwand verstehen

Router leiten IP-Pakete weiter; sie reparieren nicht jeden TCP-Datenstrom. Der Ausgleich an den Endpunkten bedeutet, dass Pakete verloren gehen können, während die Anwendung dennoch korrekte Bytes erhält. Das Warten auf ein fehlendes Segment kann spätere Bytes verzögern. Bleibt der Weg unterbrochen, meldet TCP schließlich einen Fehler. TCP bietet außerdem keine Verschlüsselung: TLS ergänzt diesen Schutz für sicheren Webverkehr.

Eine vollständige Datei und Live-Audio haben unterschiedliche Anforderungen an die Zustellung. Vergleiche, was das Warten auf ein fehlendes Stück bewirken würde, bevor du einen Transport wählst.

TCP und UDP vergleichen

Der UDP-Protokollkopf mit 8 Bytes enthält Ports, eine Länge und eine Prüfsumme. UDP bestätigt Datagramme nicht, überträgt sie nicht erneut und ordnet sie nicht. „Unzuverlässig“ bedeutet, dass es keine Zustellungsgarantie gibt; in einem störungsfreien Netzwerk können trotzdem die meisten Datagramme erfolgreich ankommen.

Fragen, ob verspätete Daten nützlich sind

Der Download eines Kontoauszugs benötigt jedes Byte, daher lohnt es sich, auf die erneute Übertragung zu warten. TCP eignet sich auch für E-Mail, Softwareaktualisierungen und Übertragungen über HTTP/1.1 oder HTTP/2. Zum Aufwand gehören der Verbindungsaufbau und das Warten hinter einer Lücke im geordneten Datenstrom.

Bei Live-Audio kann ein Stück, das 200 ms zu spät ankommt, seinen Wiedergabezeitpunkt verpassen. Eine winzige Lücke zu überspringen kann weniger störend sein, als das Gespräch anzuhalten. Anrufe und schnelle Spiele verwenden oft einen UDP-basierten Transport, damit ihre Anwendungen entscheiden können, was sie wiederherstellen und was sie überspringen.

DNS verwendet UDP häufig für einen kurzen Austausch aus Frage und Antwort. DNS ist unverzichtbare Infrastruktur, daher ist die Wichtigkeit ein schlechtes Auswahlkriterium. Entscheidend sind Vollständigkeit, Zeitvorgaben und die Frage, welches Protokoll den Verlustausgleich übernimmt.

Zuverlässigkeit oberhalb von UDP ergänzen

QUIC läuft über UDP und ergänzt zuverlässige Datenströme, Überlastkontrolle und integrierte Verschlüsselung. HTTP/3 nutzt QUIC, um Webressourcen zuverlässig zu übertragen. Der von UDP nicht angebotene Dienst wird durch ein anderes Protokoll darüber bereitgestellt.

QUIC kombiniert außerdem den sicheren Verbindungsaufbau effizienter, als zuerst TCP zu öffnen und dann TLS getrennt auszuhandeln. Ein Browser, der HTTP/3 nutzt, verfügt daher über Verlustausgleich und Sicherheitsdienste, obwohl der zugrunde liegende UDP-Transport sie nicht bereitstellt.

Das Internet überträgt Pakete zwischen Netzwerken. Das World Wide Web ist eine Anwendung darauf: verknüpfte Ressourcen, die über HTTP angefordert werden. Auch E-Mail, Anrufe und Spiele nutzen das Internet.

Die Anfänge des Webs

Tim Berners-Lee schlug das Web im März 1989 am CERN vor. Die erste Website, info.cern.ch, lief auf seinem Computer. Am 30. April 1993 gab CERN die Websoftware zur freien Nutzung durch alle frei. Das Forschungsnetzwerk, aus dem das Internet hervorging, war 1969 entstanden.

Drei Ideen wirken zusammen: Uniform Resource Locators (URLs) benennen Ressourcen; das Hypertext Transfer Protocol (HTTP) fordert sie an und überträgt sie; die Hypertext Markup Language (HTML) beschreibt Dokumente mit Hyperlinks. Browser zeigen HTML an, verwenden CSS für das Erscheinungsbild und führen JavaScript für die Interaktion aus.

Eine URL lesen

Betrachte https://www.example.com:443/docs/guide.html?lang=en#intro.

DNS löst nur den Hostnamen auf. Die HTTP-Anfrage enthält Pfad und Abfragezeichenfolge; der Browser behält das Fragment zur lokalen Verarbeitung, etwa um einen Abschnitt innerhalb der Seite zu finden.

Einen Dienst anfordern

Ein Browser handelt als Client und fordert Ressourcen von einem Serverprogramm an. Ein Hostname kann zu vielen physischen Servern führen, die eine beliebte Website bereitstellen.

Auch andere Anwendungen können HTTP nutzen. Eine Wetter-App ruft eine Web-Programmierschnittstelle (API) auf, um strukturierte Daten zu erhalten, oft in JavaScript Object Notation (JSON). Sie zeigt diese Daten in ihrer eigenen Oberfläche an, statt HTML darzustellen.

Kopien in der Nähe wiederverwenden

Ein Content Delivery Network (CDN) hält Kopien von Ressourcen an mehreren Standorten bereit. DNS oder Routing leitet Nutzer zu geeigneten, oft nahe gelegenen Servern. Das verringert die Latenz und verteilt die Last.

Ein Browsercache speichert zuvor heruntergeladene Ressourcen auf dem Gerät des Nutzers. Die Wiederverwendung eines noch nutzbaren zwischengespeicherten Bildes kann einen erneuten Abruf vermeiden. Ist ein neuer Download nötig, kann eine CDN-Kopie in der Nähe den Weg verkürzen. Die beiden Caches sparen an unterschiedlichen Stellen Arbeit: einer auf dem Gerät, der andere auf Netzwerkservern.

HTTP legt einen Austausch zwischen Client und Server fest. Eine Anfrage gibt an, was der Client möchte; eine Antwort meldet das Ergebnis und kann eine Ressource enthalten. Eine einzelne Seite benötigt gewöhnlich viele solche Datenaustausche.

Eine Anfrage lesen

Eine HTTP/1.1-Anfrage kann so beginnen:

GET /docs/guide.html HTTP/1.1
Host: www.example.com

Die Startzeile enthält Methode, Pfad und Version. GET fordert eine Ressource an. Der Host-Header wählt die Website aus, da sich mehrere Hostnamen eine Serveradresse teilen können. Header verwenden Zeilen der Form name: value, um zusätzliche Informationen bereitzustellen; ein optionaler Nachrichtenkörper enthält übermittelte Daten.

GET dient dazu, Informationen abzurufen, ohne den Zustand des Servers zu ändern. POST übermittelt Daten in einem Nachrichtenkörper, etwa ein Formular oder eine Datei. PUT kann eine Ressource speichern oder ersetzen, und DELETE fordert ihre Entfernung an.

Eine Antwort lesen

Eine erfolgreiche Antwort kann so beginnen:

HTTP/1.1 200 OK
Content-Type: text/html
Content-Length: 5120

Nach den Headern und einer Leerzeile folgt der Nachrichtenkörper. Content-Type beschreibt, wie er zu interpretieren ist; hier handelt es sich um HTML. Content-Length gibt für den Nachrichtenkörper eine Länge von 5.120 Bytes an. Eine Bildantwort könnte stattdessen image/png verwenden, während eine API JSON zurückgeben könnte.

HTTP/2 und HTTP/3 übertragen diese Informationen in binären Datenrahmen statt in der Textform von HTTP/1.1. Methoden, Statuscodes, Header und Nachrichtenkörper behalten ihre Bedeutung.

Das Ergebnis deuten

Eine 301-Antwort gibt in Location eine neue URL an. Ein 304 besagt, dass eine überprüfte zwischengespeicherte Kopie weiterhin aktuell ist. Ein 404 bedeutet, dass der Server geantwortet, aber unter dem angeforderten Pfad keine Ressource gefunden hat. Ein DNS-Fehler oder ein unerreichbarer Server erzeugt keinen HTTP-Status, weil keine HTTP-Antwort ankommt.

Wiederholte Anfragen miteinander verbinden

HTTP ist zustandslos: Das Protokoll verbindet eine Anfrage nicht automatisch mit früheren Anfragen. Ein Server kann Set-Cookie mit einer Sitzungskennung senden. Der Browser fügt später bei Anfragen, für die dieses Cookie gilt, einen Cookie-Header hinzu. Der Server nutzt die Kennung, um gespeicherte Sitzungsinformationen wie eine Anmeldung oder einen Warenkorb zu finden. Cookies können auch zur Nachverfolgung dienen, die durch Browsereinstellungen und Datenschutzregeln eingeschränkt wird.

Der Abruf von HTML lädt nicht eine ganze Website herunter. Der Browser liest das HTML und fordert die darin referenzierten Bilder, Stylesheets, Skripte und Schriftarten an. HTTP/1.1 kann eine TCP-Verbindung für aufeinanderfolgende Anfragen wiederverwenden. HTTP/2 überträgt mehrere Datenaustausche über eine TCP-Verbindung; HTTP/3 tut dies über QUIC. Der Reiter „Netzwerk“ eines Browsers macht diese einzelnen Anfragen, Statusangaben und Zeitabläufe sichtbar.

Die Eingabe einer HTTPS-URL startet eine Abfolge zusammenwirkender Protokolle. HTTPS bedeutet HTTP, das durch Transport Layer Security (TLS) geschützt ist. Um den Ablauf nachzuvollziehen, unterscheide zwischen dem Finden eines Servers, dem Aufbau einer Verbindung, dem Schutz des Austauschs und dem Anfordern von Inhalten.

Eine neue Verbindung verfolgen

Für eine neue HTTPS-Verbindung mit HTTP/1.1 oder HTTP/2:

1. Der Browser prüft Caches und fragt bei Bedarf DNS nach der IP-Adresse des Hosts.
2. Er öffnet mit dem Drei-Wege-Handshake eine TCP-Verbindung zu Port 443.
3. Ein TLS-Handshake prüft den Server und legt Verschlüsselungsschlüssel fest.
4. Der Browser sendet ein HTTP-GET durch die geschützte Verbindung.
5. Der Server gibt eine Antwort zurück, die normalerweise HTML enthält.
6. Der Browser fordert referenzierte Ressourcen an und stellt die Seite dar.

Alle Netzwerknachrichten werden in IP-Paketen übertragen. HTTP/3 verwendet QUIC über UDP mit integriertem TLS und führt daher nicht den separaten TCP-Aufbau aus dieser Abfolge durch. Auch zwischengespeicherte Antworten und wiederverwendete Verbindungen können Schritte einsparen.

Wenn DNS, TCP-Aufbau, TLS-Aufbau und der erste HTTP-Austausch jeweils einen Hin- und Rückweg von 60 ms benötigen, beträgt die Gesamtzeit bis zum Beginn der Inhaltsübertragung etwa:

Dieses Beispiel lässt die Verarbeitung auf dem Server und andere Verzögerungen weg. Eine höhere Datenrate kann diese vier genannten Wartezeiten nicht beseitigen; wird jedoch eine Abfrage vermieden oder eine Verbindung wiederverwendet, kann ein Austausch entfallen.

Was TLS prüft

TLS bietet Verschlüsselung, die Inhalte vor Beobachtern auf dem Übertragungsweg verbirgt; Integrität, die Änderungen während der Übertragung erkennt; und Authentifizierung, die den Server für den angeforderten Namen prüft.

Ein digitales Zertifikat bindet einen Domainnamen an einen öffentlichen Schlüssel. Eine vertrauenswürdige Zertifizierungsstelle (CA) signiert es. Der Browser prüft den Namen, den Gültigkeitszeitraum und die Vertrauenskette, und der Server weist nach, dass er den zugehörigen privaten Schlüssel besitzt. Eine Zertifikatskopie allein kann diesen Nachweis nicht erbringen, weil Zertifikate öffentlich sind.

Ein nicht passender Name, ein abgelaufenes Zertifikat oder eine nicht vertrauenswürdige Signatur kann eine Browserwarnung auslösen. Umgehe eine Zertifikatswarnung nicht: Dadurch entfällt der Schutz vor einem betrügerischen Server.

Verbindungsschutz und Vertrauen in eine Website

HTTPS schützt während der Übertragung Seiteninhalte, URL-Pfade und Abfragezeichenfolgen, Cookies, Passwörter und übermittelte Formulare. Die IP-Adresse des Servers sowie Umfang und zeitlicher Verlauf des Datenverkehrs bleiben jedoch sichtbar. Auch der Domainname bleibt bei vielen Verbindungen sichtbar, je nachdem, wie DNS und Handshake geschützt sind.

Eine Anzeige für eine sichere Verbindung besagt, dass die Verbindung für diese Domain geschützt ist. Eine betrügerische Website kann ein gültiges Zertifikat für ihren eigenen Namen erhalten. Prüfe, ob es die beabsichtigte Domain ist; ein gewöhnliches Zertifikat bestätigt die Kontrolle über die Domain, nicht die Vertrauenswürdigkeit jeder Seite. Einfaches HTTP, üblicherweise auf Port 80, lässt den Anwendungsaustausch auf dem Übertragungsweg lesbar und veränderbar.

Den fehlgeschlagenen Schritt finden

„Server nicht gefunden“ kann auf ein DNS-Problem hinweisen. Eine Zeitüberschreitung kann bedeuten, dass Pakete nicht durchkommen oder ein Server nicht antwortet. Eine Zertifikatswarnung weist auf TLS hin. Ein 404 oder 500 bedeutet, dass eine HTTP-Antwort angekommen ist: Der Fehler betrifft dann die angeforderte Ressource oder die Verarbeitung auf dem Server. Diese Hinweise grenzen das Problem ein, ohne jede fehlgeschlagene Seite als Ausfall der Internetverbindung zu behandeln.

Anwendungen teilen sich das paketvermittelte Netzwerk, organisieren ihren Austausch aber unterschiedlich. E-Mails können auf Servern warten, bis der Empfänger online ist. Ein Anruf benötigt rechtzeitig ankommenden Ton. Ein Videoplayer kann einen Puffer aufbauen und eine niedrigere Datenrate wählen.

Eine E-Mail verfolgen

Das Simple Mail Transfer Protocol (SMTP) sendet E-Mails von einer App an einen Mailserver und zwischen Mailservern. Das Internet Message Access Protocol (IMAP) ermöglicht es, mit auf dem Server gespeicherten E-Mails zu arbeiten und mehrere Geräte zu synchronisieren. Das Post Office Protocol Version 3 (POP3) lädt E-Mails typischerweise auf ein Gerät herunter.

Wenn amira@example.org eine E-Mail an ben@example.net sendet:

1. Amiras App übermittelt die Nachricht mit SMTP an ihren Ausgangsserver.
2. Dieser Server fragt DNS nach den MX-Einträgen von example.net.
3. Er sendet die Nachricht per SMTP an einen in diesen Einträgen genannten Empfangsserver.
4. Die Nachricht wartet in Bens Postfach.
5. Bens App greift mit IMAP darauf zu.

Der Teil ben bezeichnet ein Postfach; example.net bezeichnet dessen Domain. Mehrere MX-Einträge mit Prioritätswerten können alternative Empfangsserver bereitstellen. Absenderin und Empfänger müssen nicht gleichzeitig online sein. Bei Webmail verwendet der Browser HTTPS zum Anbieter, während die Anbieter untereinander weiterhin E-Mails per SMTP austauschen.

Der ursprüngliche Entwurf von SMTP überprüfte angegebene Absenderidentitäten nicht. Sender Policy Framework (SPF), DomainKeys Identified Mail (DKIM) und Domain-based Message Authentication, Reporting, and Conformance (DMARC) helfen empfangenden Servern, domainbezogene Berechtigung und Authentizität zu prüfen. Besteht eine Nachricht diese Prüfungen, ist sie deshalb nicht unbedingt erwünscht oder ehrlich.

Nachrichtendienste und Peers

Viele Nachrichten-Apps nutzen die Server eines Anbieters, um Nachrichten weiterzuleiten und für Empfänger zu speichern, die nicht online sind. Bei Ende-zu-Ende-Verschlüsselung besitzen die vorgesehenen Endpunkte die Schlüssel für den Inhalt. Ein Relayserver kann verschlüsselte Inhalte weitergeben, ohne sie zu lesen. Das unterscheidet sich davon, nur die Verbindung zum Anbieter zu verschlüsseln, wobei der Anbieter weiterhin Klartext verarbeiten kann.

Bei der Peer-to-Peer-Kommunikation (P2P) übernehmen Hosts sowohl Client- als auch Serverrollen. Ein BitTorrent-Peer lädt Dateiteile von anderen Peers herunter und lädt zugleich vorhandene Teile hoch. Weitere Peers können zusätzliche Uploadkapazität beitragen. Videoanrufe können Medien direkt zwischen Geräten übertragen, aber NAT kann einen Relayserver nötig machen. Die Nutzung eines Relays für einen Anruf macht nicht jede andere Internetanwendung zu P2P.

Einen Videostream anpassen

Streamingdienste bieten kurze Videoabschnitte in mehreren Qualitätsstufen an. Das Abspielprogramm misst den Datendurchsatz und fordert über HTTP eine passende Version jedes nächsten Abschnitts an. Sinkt die verfügbare Kapazität, kann es die Qualität verringern und so das Risiko eines leeren Wiedergabepuffers senken.

Bei konstanten 5 Mbit/s verbraucht eine Stunde:

Dividiere durch 8, um in Bytes umzurechnen: 2.250.000.000 Bytes oder 2,25 GB. Das zählt die angegebenen Streamdaten; zusätzlicher Protokollverkehr kann den Verbrauch erhöhen. Megabits mit Sekunden multipliziert ergeben Megabits. Ein Ergebnis in MB oder GB benötigt also noch die Umrechnung von Bits in Bytes.

Unabhängige Organisationen betreiben die Netzwerke des Internets. Für den Austausch von Datenverkehr benötigen sie gemeinsame Kennungen und technische Standards. Die Internet-Governance koordiniert diese gemeinsam genutzten Ressourcen und die Regeln, die ihre Nutzung betreffen.

Kennungen koordinieren

Öffentliche IP-Adressblöcke und Domainregistrierungen müssen koordiniert zugewiesen werden. Widersprüchliche öffentliche Zuweisungen würden die Zustellung mehrdeutig machen. Private IP-Bereiche sind bewusst wiederverwendbar, weil sie innerhalb getrennter privater Netzwerke bleiben.

Die Internet Corporation for Assigned Names and Numbers (ICANN) ist eine 1998 gegründete gemeinnützige Organisation mit Sitz in den USA. Sie koordiniert die DNS-Richtlinien auf oberster Ebene, einschließlich generischer Top-Level-Domains und der Akkreditierung von Registraren. Ihre Tochterorganisation Public Technical Identifiers (PTI) erfüllt die Funktionen der Internet Assigned Numbers Authority (IANA): Sie pflegt die DNS-Wurzelzone, die zentralen Vorräte an Adressen und AS-Nummern sowie die Verzeichnisse von Protokollparametern wie Ports.

Die vertragliche Aufsicht der US-Regierung über die IANA-Funktionen endete am 1. Oktober 2016. Mit dem Stewardship-Übergang ging die Aufsicht über die entsprechenden Prozesse an die weltweiten Gemeinschaften über, die diese Funktionen nutzen.

Namen von Nummern unterscheiden

Fünf regionale Internetregistrierungsstellen (RIRs) verteilen IP-Adressen und Nummern autonomer Systeme an Anbieter und Organisationen:

Domains folgen einer anderen Kette. Eine Domain-Registry betreibt eine TLD; Verisign betreibt .com. Ein Registrar verkauft Domainregistrierungen, und ein Domaininhaber hält eine Registrierung für einen Zeitraum, der gewöhnlich jährlich verlängert wird. Länderdomains wie .jp und .br haben eigene Betreiber und nationale Regeln. RIRs registrieren keine Domainnamen.

Standards formulieren und Netzwerke betreiben

Die Internet Engineering Task Force (IETF) entwickelt Protokolle wie IP, TCP, DNS, HTTP und TLS durch offene Arbeit, deren Ergebnisse als RFCs veröffentlicht werden. Sie legt Wert auf groben Konsens und funktionierende Implementierungen. Jeder kann teilnehmen.

Das World Wide Web Consortium (W3C), 1994 von Tim Berners-Lee gegründet, entwickelt Webstandards, darunter CSS und die Web Content Accessibility Guidelines (WCAG). WHATWG pflegt HTML. Die Internet Society (ISOC) unterstützt die IETF und fördert ein offenes Internet.

Betreiber wählen Verbindungen, schließen Transitvereinbarungen und geben Routen mit BGP bekannt. Zwölf Organisationen betreiben den DNS-Wurzeldienst. Regierungen erlassen in ihrem Hoheitsgebiet Gesetze zu Telekommunikation, Wettbewerb, Datenschutz und Inhalten. Die Internationale Fernmeldeunion (ITU) koordiniert Telekommunikationsarbeit und Funkfrequenzen international; sie registriert keine Domains und vergibt keine Internetadressblöcke.

Verschiedene Arten von Beteiligten einbeziehen

Ein Multistakeholder-Modell bezieht Regierungen, Unternehmen, Zivilgesellschaft, Fachleute aus dem technischen Bereich und Wissenschaft ein. Das Internet Governance Forum (IGF) ermöglicht Diskussionen zwischen diesen Gruppen; es trifft keine verbindlichen Entscheidungen. Es fand erstmals 2006 statt und wurde im Dezember 2025 zu einem dauerhaften UN-Forum. Die Koordination durch diese Gremien gibt dem Netzwerk gemeinsame Regeln, ohne eine Organisation zu schaffen, der jede Übertragungsstrecke gehört oder die jeden Dienst kontrolliert.

Politische Entscheidungen über das Internet wirken sich unterschiedlich auf Nutzer, Netzwerkbetreiber, Onlinedienste und Regierungen aus. Eine hilfreiche Argumentation benennt, wer entscheidet, verfolgt die Auswirkungen und wägt einen Nutzen gegen einen Nachteil ab.

Gleichbehandlung und Zero-Rating

Netzneutralität ist der Grundsatz, dass Internetdienstanbieter rechtmäßigen Datenverkehr gleich behandeln sollen, ohne bestimmte Dienste durch Blockieren, Verlangsamen oder besondere Gebühren zu bevorzugen. Befürworter verbinden Gleichbehandlung mit Wettbewerb und Meinungsfreiheit: Ein neuer Dienst sollte keine günstige Vereinbarung mit jedem Internetdienstanbieter benötigen. Gegner plädieren für Flexibilität bei Netzwerkverwaltung und Dienstangeboten und warnen, dass strenge Regeln Investitionen hemmen können. Nationale Regeln unterscheiden sich und können sich ändern.

Angenommen, ein Mobilfunkanbieter bietet für eine Video-App Zero-Rating an: Das Ansehen wird nicht auf das Datenvolumen angerechnet. Nutzer dieser App gewinnen zusätzlich nutzbares Datenvolumen. Die bevorzugte App erhält einen Vorteil gegenüber Konkurrenten, deren Datenverkehr weiterhin angerechnet wird. Der Anbieter kann das Angebot vermarkten und möglicherweise wirtschaftlich davon profitieren. Eine Regulierungsbehörde muss Bezahlbarkeit gegen fairen Wettbewerb abwägen. Wer nur sagt „Kostenlose Daten sind gut“, übersieht die Auswirkung auf konkurrierende Dienste; wer nur sagt „Das Angebot ist unfair“, übersieht den unmittelbaren Vorteil für Nutzer.

Marktkonzentration und staatliche Kontrolle

Einige wenige große Cloud- und Inhaltsauslieferungsunternehmen können sehr viele Websites effizient bedienen. Sie können aber auch gemeinsame Abhängigkeiten schaffen: Der Ausfall eines Anbieters kann viele ansonsten voneinander unabhängige Dienste unterbrechen. Bei Marktkonzentration geht es daher sowohl um Effizienz als auch um Widerstandsfähigkeit.

Regierungen können Websites filtern, die Speicherung von Daten im Inland verlangen oder den Zugang abschalten. Befürworter führen möglicherweise Sicherheit und öffentliche Ordnung an; Kritiker verweisen auf Meinungsfreiheit, Lebensgrundlagen, Bildung und Schäden für Nutzer, die mit einem Vorfall nichts zu tun haben. Fragmentierung des Internets, manchmal „Splinternet“ genannt, beschreibt das Risiko zunehmend voneinander getrennter nationaler Netzwerke.

Knappe Adressen und geschützte Daten

Der zentrale IPv4-Vorrat ist erschöpft. Die Übertragung vorhandener Blöcke und der umfassende Einsatz von NAT halten IPv4 nutzbar, während IPv6 einen viel größeren Adressraum bietet. Die Umstellung braucht Zeit, weil Geräte und Dienste während der parallelen Nutzung weiterhin zusammenarbeiten müssen.

Verschlüsselung schützt private Informationen vor Abfangen und Überwachung. Einige Strafverfolgungsbehörden fordern besonderen Zugang zu verschlüsselten Daten. Viele Sicherheitsfachleute argumentieren, dass ein eingebauter Zugang auch Schwachstellen schafft, die andere ausnutzen könnten. Um den Vorschlag zu beurteilen, müssen sowohl die Bedürfnisse von Ermittlungen als auch die Sicherheit gewöhnlicher Nutzer berücksichtigt werden. Datenschutzregeln unterscheiden sich zwischen Ländern.

Zugang ist mehr als Netzabdeckung

Die ITU schätzte, dass 2025 etwa 6 Milliarden Menschen online und 2,2 Milliarden offline waren. Ein großer Teil der Lücke lag in Ländern mit niedrigerem Einkommen und in ländlichen Gebieten. Bezahlbarkeit, Infrastruktur und nutzbarer Zugang bestimmen, wer von Onlinediensten profitiert. Ein Netzwerk, das ein Dorf erreicht, hilft nicht allen gleichermaßen, wenn sein Preis für sie unerschwinglich bleibt.

Ordne einen Vorschlag dem zuständigen Akteur zu. Registrys und ICANN koordinieren Namen; RIRs koordinieren Adressen; Standardisierungsgremien entwickeln technische Regeln; Betreiber wählen Netzwerkverbindungen und Dienste; Regierungen erlassen Gesetze. Eine Richtlinie zur Domainregistrierung, ein Protokollentwurf und eine nationale Zugangsbeschränkung können zusammenwirken und bleiben dennoch unterschiedliche Arten von Entscheidungen.